Um útil relatório mensal de autenticação explica o que foi observado, por que isso é importante e quem agirá. Uma grande percentagem de aprovação sem um denominador ou limite de reporte pode ser mais enganadora do que um pequeno conjunto de excepções bem explicadas. Comece com o escopo operacional do cliente, não com uma exportação de painel.
Definir a população inquirida
Indique o período e fuso horário, domínios cobertos, fontes de relatórios e limite de coleta. Distinguir o período em que as mensagens foram avaliadas do momento em que seus relatórios foram recebidos. As chegadas tardias podem alterar um total histórico, portanto, crie uma versão de um relatório ao emitir uma correção, em vez de substituir silenciosamente seus números.
Usar RFC 9990 interpretar relatório agregado contagens e resultados de autenticação. As contagens representam observações relatadas, não pessoas únicas, mensagens entregues ou o tráfego de saída completo da organização. Evite adicionar relatórios sobrepostos ou duplicados duas vezes. Retenha a identidade do relatório, o repórter, o domínio, o período e a impressão digital da carga útil para que um aumento aparente possa ser investigado.
Calcule uma métrica que alguém possa auditar
Defina uma fração de mensagem alinhada como observações alinhadas divididas por todas as observações incluídas, com as regras de inclusão exatas declaradas. Não faça médias de porcentagens entre fontes sem suas contagens. Separe falhas de remetentes aprovados, fontes desconhecidas e efeitos de fluxo indireto esperados. Uma fonte desconhecida é uma categoria de triagem e não uma prova automática de ataque ou permissão para autorizá-lo.
Suponha que um conjunto de dados de observação normalizado inclua 100 observações cujos tempos de avaliação estejam dentro do dia UTC declarado, das quais 80 passam no dia declarado. alinhamento teste. A fração é 80/100 = 80%. São excluídas dez observações antes da janela e 50 exatamente no seu final exclusivo. Estes são insumos inventados com data e hora individuais, e não uma exportação real ou resultado do cliente.
Não presuma que os relatórios agregados brutos contêm carimbos de data/hora por mensagem que permitem esse mesmo fatiamento: seu intervalo de datas descreve o intervalo do relatório. Se um relatório ultrapassar um limite de relatório, mantenha-o para uma regra declarada de inclusão de todo o relatório ou marque a incerteza do limite em vez de inventar uma alocação por mensagem. Para duplicatas e sobreposições parciais, documente o tratamento e a ambiguidade não resolvida antes de reivindicar um denominador exato. RFC 9990 A Seção 3.5.4 observa que relatórios parcialmente sobrepostos não podem ser claramente separados por mensagem afetada.
Faça a ação registrar o centro
Para cada descoberta importante, liste o domínio, o proprietário do remetente, a referência da evidência, o impacto nos negócios, a ação proposta, a pessoa responsável e a data de revisão prevista. Inclua um status como investigando, aguardando aprovação do cliente ou verificado concluído. Indique o que bloqueia o progresso. Uma proposta DNS aguardando aprovação não deve ser descrita como uma correção de MSP já entregue.
Compare as ações com o registro do mês passado. Explique quais foram concluídos e as evidências que os encerraram. Leve os itens vencidos de forma visível, incluindo a pessoa que pode desbloqueá-los. Quando os dados estiverem incompletos, faça da recuperação da cobrança uma ação própria, em vez de suavizar o gráfico ou assumir que o período faltante corresponde ao anterior.
Conecte o relatório ao ciclo de vida do serviço
Combine a data de revisão, o calendário de serviço, as dependências e a rota de escalonamento com o cliente, em vez de apresentar um exemplo de prazo como um requisito do setor. Se os dados tardios alterarem uma fração anterior, emita uma revisão rotulada com o seu novo limite e explique se alguma prioridade de ação mudou. Nenhum runbook de ciclo de vida, compromisso de serviço ou revisão concluída do cliente é fornecido aqui.
Faça com que o administrador de correio verifique a população de evidências, o proprietário do cliente decida as prioridades de negócios e o proprietário da segurança revise as exceções materiais. Encerre a revisão com as próximas ações aceitas e um processo de correção para dados atrasados. RFC 9989 descreve autenticação e avaliação de políticas; um resultado de autenticação mensal ainda não pode garantir a colocação na caixa de entrada ou a ausência de phishing através de outros domínios.